3-4 利用假冒网站发起的攻击 · 波仔的网络与信息安全课

📄 一句话概括

假冒网站有两条完全不同的路子：钓鱼是让你去错地方（靠你的判断出错），域欺骗是让你以为自己去了对的地方（绕过你的判断）——所以【看域名】这一招只对前者有效。

📝 本节和前面几节的关系

上一节（反病毒软件所使用的技术）讲的是技术侧怎么发现坏东西。这一节换到攻击侧的入口：木马的第一步是【让你主动运行它】（见恶意软件的种类），而假冒网站就是制造这个【主动】的主要场所。

它也直接接住第二章的冒充特定的人物：那一节讲的是冒充人（谁在骗你），这一节讲的是冒充场所（你在哪儿被骗）。两者经常连用——伪装成同事的邮件里放一个伪装成登录页的链接。

一、两个词，两条完全不同的路

标题里的【钓鱼】和【域欺骗】经常被混着说，但它们攻击的是两个不同的环节：

	钓鱼（phishing）	域欺骗（DNS 欺骗/劫持）
攻击的是	你的判断	你的解析
你怎么到假站	你自己点了那条链接	你输的地址完全正确
地址栏显示	假域名（仔细看能看出）	真域名
证书	常常没有或提示异常	可能是有效的（免费证书几秒就能签）
有效对策	看域名、看有没有二次验证、抗钓鱼的登录方式	在解析这一层堵（DNSSEC、可信 DNS、管好路由器）

一句话：钓鱼要你配合，域欺骗不需要你配合。

二、钓鱼的三种常见形态

克隆站——把某个登录页照抄一份，等你输入账号密码。
仿冒下载站——伪装成某个软件的官方下载页，给你的安装包里带木马。这类在国产通报里是主流，因为它能直接落到【你主动运行】这一步。
搜索引擎投递——买广告位、或者用搜索引擎优化，让你搜得到并且排在前面。这类最阴的一点是：页面会检测来源，不是从搜索结果点进来的就跳走，用来躲避分析。

三、域欺骗：把三个相近的词分清

这一块有三个词，中文经常混用，先把边界划清楚：

词	干的事
DNS 欺骗 / 投毒	伪造一个 DNS 回答，或者把假记录塞进缓存
DNS 劫持	拿到解析链路的控制权（改路由器设置、换掉解析服务器、拦截请求）
域名劫持	直接拿下域名的注册账号或权威记录（改的是【正牌的源头】）

它们的共同结果是：你在地址栏里输入的东西完全正确，但被送到了别人的机器上。

为什么这件事比钓鱼更麻烦？因为你所有基于【看域名】养成的习惯，在这里全部失效。你核对域名、你确认是 HTTPS、你看到锁标——这些都可以是真的，只是解析把你带错了地方。

四、动手 Demo：六个域名过一遍，再加一条劫持路径

brand = "paypal"
sus_tld = (".top", ".cn", ".xyz", ".bar", ".cyou", ".sbs", ".vip", ".fit")
# 判据：编辑距离（形近） + 含品牌词 + 可疑后缀

实跑输出：

真域名：paypal.com（品牌词 = paypal，后缀 = .com）

待判域名                      编辑距离  含品牌词  可疑后缀  判定
--------------------------------------------------------------------------------------------------
paypal.com                    0         是        否        真
paypa1.com                    1         否        否        假（形近字符）
pypal.com                     1         否        否        假（形近字符）
paypal-secure-login.cn        13        是        是        假（蹭品牌 + 可疑后缀）
paypal.com.verify-user.top    0         是        是        假（蹭品牌 + 可疑后缀）
www-paypal-cn.com             7         是        否        假（品牌词拼进长域名）

  注意 paypa1.com 与 pypal.com：编辑距离都只有 1，肉眼几乎分不出。

二、域欺骗（DNS 劫持/投毒）：地址栏里写的是对的，也没用
  正常：你问 DNS【paypal.com 在哪】→ 答【真实 IP】→ 连过去
  被劫持：你问 DNS → 答【攻击者的 IP】→ 你连的是假站，
          但地址栏从头到尾显示 paypal.com，证书也可能有（免费签发）

  三条 2026 年的实际数据：
  ① 新顶级域名的滥用报告率，比 .com 这类传统后缀【高 30 倍以上】
     （注册便宜、监管没跟上、批量注册门槛极低）
  ② 2026 上半年，攻击者花近 700 万美元抢注【已过期域名】——
     买的是这些域名【继承下来的流量与搜索引擎信誉】
  ③ 2026 年 4 月披露的 APT28 行动：改家用/小企业路由器（SOHO）
     的 DNS 设置，5,000+ 台设备、200+ 个组织受影响；
     终端什么都没改，自动继承了恶意 DNS

① 钓鱼与域欺骗的区别：【钓鱼是让你去错地方，域欺骗是让你
   以为自己去了对的地方】。前者靠你的判断，后者绕过你的判断。
② 所以【看域名】这一招对钓鱼有效，对域欺骗无效——
   域欺骗要在解析这一层堵（DNSSEC、可信 DNS、路由器别用默认口令）。
③ 一个务实的动作：路由器后台的 DNS 设置，改成你知道来源的
   那一组；顺手看一眼有没有被改过。

读这个输出：上方那六行里，最该记住的是 paypa1.com 那一行——编辑距离只有 1。数字 1 和字母 l、字母 O 和数字 0、rn 和 m，这些【形近替换】在快速扫一眼时几乎不可能分辨。所以真正有效的办法不是练眼力，而是不要靠点链接进登录页（详见下节的正面做法与冒充特定的人物里的回拨确认）。

读这个输出：下方那三段数据里，第 ③ 条最值得普通人注意——它不需要骗你点任何东西。攻击者只需要拿下你家里那台用出厂口令的路由器，改掉它下发的 DNS，之后你设备上所有设备都自动【继承】了这个恶意 DNS，你连上门户网站、银行网站都可能被送到假的登录页。这就是【域欺骗绕过判断】的完整含义：你从头到尾没有做错任何一步。

五、两条主线的防法

对付	主线
钓鱼	不要从链接进登录页——自己输地址，或用书签、或在官方应用里操作；上抗钓鱼的登录方式（通行密钥那类，因为它的凭据绑定了域名，在假站上验证不过）
域欺骗	在解析这一层堵：路由器不用出厂口令、DNS 用你确定的来源并定期看一眼有没有被改；有条件就启用 DNSSEC

六、⚠️ 2026 现状

钓鱼的产出已经被工业化，并且主要靠 AI。 2026 年第一季度的公开统计里，单季被记录到的钓鱼攻击约 97 万起（环比 +13.8%）；某厂商单季拦截的邮件钓鱼威胁约 83 亿次。更关键的是质量：有报告记录到AI 生成的钓鱼邮件在一年内增加了 14 倍，且约 86% 的攻击已经由 AI 驱动——过去靠【错别字和不通顺】识别钓鱼的办法基本失效。
钓鱼的目的变得极其单一：偷凭据和会话。 有统计显示载荷攻击里 94% 是窃取凭据；而【中间人式】的钓鱼套件（把你的输入实时转发给真站、再把真站的会话交给你）在半年内增长约 139%。这类套件能绕过一次性验证码——因为你输的验证码被实时转发掉了。
一个很扎心的数字：约 84% 的【成功钓鱼】是通过了邮件认证的。 也就是说，攻击者越来越多地借用可信平台与可信域名来投递（拿下一个供应商的邮箱、或用正常的云服务发信）。这条和上一章 2-3 的结论重合：认证挡假域名，挡不住真账号。
【新后缀】与【过期域名】是两条便宜通道。 新顶级域名的滥用报告率比传统后缀高 30 倍以上（个别后缀中被报告为恶意的比例高得离谱）；同时，抢注过期域名成了一门生意——2026 上半年，攻击者在抢注上花了近 700 万美元，把五万多个域名重新投入使用，买的是这些域名继承下来的流量与搜索引擎信誉。
域欺骗的规模化路线是【路由器】。 2026 年 4 月披露的一批行动显示，攻击者不去攻企业，而是去攻家用与小企业路由器：拿下之后就改它的 DNS 配置，连上来的终端自动就用了恶意解析。同类行动涉及超过 5,000 台设备、200 多个组织。这解释了为什么【路由器改默认口令】是一件跟企业安全也有关的事——你的供应商、你的员工在家里上网，用的就是这些路由器。
一个补充：国内外都有【批量搭站】的产业。 某次被通报的批量钓鱼站分析里，仿冒对象集中在办公软件与浏览器上（某一类仿冒合计占 77.4%），域名后缀高度集中，注册行为呈现明显的批量化（最高一分钟注册 15 条），而且页面前端结构高度标准化、带有清晰的注释——这类痕迹被普遍解读为【用 AI 快速生成的页面】。

30 秒实验

今天就做这一件事：打开你家的路由器管理页面，找到 DNS 设置，看一眼它是不是你认识的值。

在浏览器里输入路由器地址（常见是 192.168.1.1 或 192.168.0.1，具体看机器背面标签），登录。
找 DNS 设置 / 上网设置 / WAN 设置。
两种情况都算成功：如果里面是空白的（表示自动获取）或写着你知道来源的地址（比如运营商给的、或你熟悉的公共 DNS），记下来就行；如果你看到的是从没见过的地址，改成你确定来源的那一组。
顺手做第二件事：确认这台路由器的管理口令不是出厂默认的（如果是，现在就改）。

这一节要带走的一句是：钓鱼骗的是你的眼睛，域欺骗骗的是你的地址栏——前者的解药是习惯（不点链接进登录页），后者的解药在你看不见的那一层（解析）。

常见误区

错误：只要地址栏是 HTTPS、有小锁图标，就是安全的。——纠正：锁标只说明【你和这台服务器之间的通信被加密了】，它不说明【这台服务器是谁】。 免费证书几秒钟就能签，假站点完全可以有锁。而且如果解析被劫持，你连到的是攻击者的服务器——通信全程加密，只是加给了错误的人。锁标能防的是【路上有人偷看】，防不了【你走错了门】。
错误：我从来不点可疑链接，所以不会中这种招。——纠正：【可疑】这个判断本身正在变难。2026 年的一组数据很说明问题：约 86% 的钓鱼由 AI 驱动、AI 生成钓鱼一年增长 14 倍，而人识别这类【深度钓鱼】的比例下降了 18%——因为过去用来当红灯的那些特征（语法错误、措辞生硬、格式混乱）在 AI 生成的内容里已经不存在了。所以可靠的防线要落在流程上（不从邮件进登录页、大额付款回拨确认），而不是落在【我觉得这封看起来不像】上。
错误：域欺骗这种事只有运营商级别才做得到，跟我没关系。——纠正：恰恰相反，最常见的域欺骗入口是你家里那台路由器。 攻击者的做法不是攻进运营商，而是用出厂口令登录你的路由器、改掉它下发的 DNS——之后你所有设备都自动用上了恶意解析。这套动作在 2026 年已经规模化到数千台设备、数百个组织。 所以【改掉路由器默认口令】是普通用户能做、且确实有用的一件事。
错误：网站被仿冒了，那是平台应该管的事。——纠正：品牌方自己也有能做的事，而且成本不高：保护性注册（把形近拼写、多后缀变体提前注册下来）、监测新注册的相似域名、以及对搜索引擎结果里的仿冒站做下架投诉。反过来说，如果你是普通用户，你能做的是：用官方应用或书签进入，而不是用搜索——这一条同时绕过了【假域名】和【广告位被买】两条路。

自测三问（点开对答案）

1. 为什么说【看域名】这个习惯对钓鱼有效、对域欺骗无效？ —— 因为**钓鱼和域欺骗篡改的东西不一样**。钓鱼只是在**内容层**造假：它做了一个和真站长得一样的页面，但**它的域名是真的假域名**——你只要看一眼地址栏就能发现对不上。**域欺骗篡改的是解析层**：地址栏里显示的**就是真的域名**，网页也是从攻击者的服务器上返回的，**唯一错的地方在你和设备之间那条【翻译】的路上**。所以【看域名】这个动作在域欺骗面前**不是失效，而是根本没有信息量**——它显示的东西是对的。 2. 为什么【验证码】在多因子认证里也顶不住某些钓鱼？ —— 因为有一类钓鱼套件做的是**中间人**：你在假页面上输入口令，**它实时转发给真正的网站**（所以真站认为这是正常登录）；真站发验证码、**你收到后输入到假页面，它又一次实时转发**，于是真站认为验证通过；**最后它把真站发给你的那个【已登录会话】接住，自己拿去用了**。整个过程里**所有验证都是真的通过了**——被偷的是【验证之后的那个状态】。这就是为什么 2026 年的统计里这类套件增长很快（半年 +139%），也是为什么防御要往**抗钓鱼的认证方式**走：**通行密钥的签名把域名算进去了**，在假域名上签出来的东西，到真站点通不过。 3. 为什么【域名过期】会成为一个安全事件？ —— 因为**域名带着两样很难重建的资产：往日的流量和搜索引擎的信誉**。一个域名过期后被别人抢注，**原先指向它的链接、书签、搜索结果排名都还在**——新主人**不需要做任何推广**，就能继承这一批访问者。攻击者花钱抢注（2026 上半年花了近 700 万美元、五万多个域名），买的就是这批【已经在路上的人】。**它的含义是：一个组织不再使用的域名，也是一份需要管理、不能任其过期的资产。**

☐ 下一节（3-5 利用电子邮件发起的攻击和欺诈）